Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je v dôsledku nedostatočného ošetrenia vstupu v nedokumentovanom príkaze nástroja MimeTeX umožnené spustiť kód na serveri využívajúcom tento nástroj cez TeX Notation filter. Podpora MimeTeX v rámci Moodle LMS bude z dôvodu narastajúceho bezpečnostného rizika spojeného s týmto nástrojom v blízkej budúcnosti zrušená. Ak nie je možná okamžitá aktualizácia na opravenú verziu, odporúča sa TeX Notation filter zakázať. Ďalšie podrobnosti o zraniteľnosti nájdete na [2].

Zraniteľnosť sa nachádza v produkte:

• *:Moodle;>=4.1.0,<4.1.18;>=4.3.0,<4.3.12;>=4.4.0,<4.4.8;>=4.5.0,<4.5.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-40446 na cve.org, NVD
• CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 22. 4. 2025.

Autentizovanému vzdialenému útočníkovi s právami učiteľa alebo manažéra je v dôsledku zraniteľnosti v plugine Dropbox repository umožnené spustiť kód na serveri. Ak nie je možná okamžitá aktualizácia na opravenú verziu, odporúča sa zakázať Dropbox repository cez Site Administration -> Plugins -> Repositories -> Manage repositories [3].

Zraniteľnosť sa nachádza v produkte:

• *:Moodle;>=4.1.0,<4.1.18;>=4.3.0,<4.3.12;>=4.4.0,<4.4.8;>=4.5.0,<4.5.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2025-3641 na cve.org, NVD
• CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 22. 4. 2025.

Autentizovanému vzdialenému útočníkovi s právami učiteľa alebo manažéra je v dôsledku zraniteľnosti v plugine EQUELLA repository umožnené spustiť kód na serveri. Ak nie je možná okamžitá aktualizácia na opravenú verziu, odporúča sa zakázať EQUELLA repository cez Site Administration -> Plugins -> Repositories -> Manage repositories [4].

Zraniteľnosť sa nachádza v produkte:

• *:Moodle;>=4.1.0,<4.1.18;>=4.3.0,<4.3.12;>=4.4.0,<4.4.8;>=4.5.0,<4.5.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2025-3642 na cve.org, NVD
• CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 22. 4. 2025.

Autentizovanému vzdialenému útočníkovi je umožnené vykonať DoS útok na prihlásenie iného používateľa v rámci viacfaktorového overenia (MFA) a zobraziť jeho meno. Služba sa stane nedostupnou v prípade, keď používateľ využíva ako druhý faktor na overenie iba e-mail [5].

Zraniteľnosť sa nachádza v produkte:

• *:Moodle;>=4.3.0,<4.3.12;>=4.4.0,<4.4.8;>=4.5.0,<4.5.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:H

Viac informácií:

• CVE-2025-3625 na cve.org, NVD
• CWE-639: Authorization Bypass Through User-Controlled Key na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 22. 4. 2025.

Neautentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva umožnené vykonať útok reflected XSS [6].

Zraniteľnosť sa nachádza v produkte:

• *:Moodle;>=4.1.0,<4.1.18;>=4.3.0,<4.3.12;>=4.4.0,<4.4.8;>=4.5.0,<4.5.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Viac informácií:

• CVE-2025-3643 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 22. 4. 2025.